El novedoso malware “GhostEngine” que elimina EDR está diseñado para ser sigiloso

Un nuevo tipo de malware dirigido a conductores vulnerables terminar y así lidiar con ello Han salido a la luz soluciones de detección y respuesta de puntos finales (EDR), que inicialmente se utilizan al servicio de una elaborada campaña de criptominería.

Los investigadores de Elastic Security Labs identificaron un llamado «conjunto de intrusiones» llamado «REF4578» que utiliza un malware multimodal llamado GhostEngine; puede desactivar EDR, ellos revelaron en una publicación de blog publicada hoy. El ataque también demuestra la capacidad de establecer persistencia e instalar una puerta trasera previamente no documentada junto con la ejecución de un criptominero.

“GhostEngine utiliza controladores vulnerables para terminar y Eliminar agentes EDR conocidos Esto probablemente perturbaría al minero de monedas conocido y desplegado”, escribieron en la publicación los investigadores de Elastic Salim Bitam, Samir Bousseaden, Terrance DeJesus y Andrew Pease. «Esta campaña implicó un nivel inusualmente alto de complejidad para garantizar tanto la instalación como la persistencia del minero XMRig».

Mientras tanto un equipo de Antiy Labs también observado Una publicación de blog decía que llamó a la carga útil «Hidden Shovel» y la caracterizó como un «troyano minero» que ofrece un enfoque de dos pasos para deshabilitar EDR e instalar una puerta trasera.

El objetivo de la campaña, tal como lo describen ambos grupos de investigación, es en última instancia eliminar las barreras de seguridad en una red corporativa y utilizarla para extraer criptomonedas sin que los administradores se den cuenta. El minero legítimo XMRig utilizado por los atacantes se utiliza para extraer Monero.

El equipo de seguridad no ha definido qué organizaciones o individuos son los objetivos de la campaña, ni ha identificado qué actor de amenazas podría estar detrás de ella.

El vector de ataque de GhostEngine

Como lo describe Elastic, la primera intrusión de REF4578 ocurre con la ejecución de un archivo PE llamado Tiworker.exe, que se hace pasar por el archivo legítimo de Windows TiWorker.exe.

«Este archivo descarga y ejecuta un script de PowerShell que organiza todo el flujo de ejecución de la intrusión», escriben los investigadores. Este proceso descarga herramientas del atacante, módulos de malware GhostEngine y configuraciones del servidor de comando y control (C2) del atacante.

Luego, GhostEngine descarga y ejecuta sus diversos motores de ataque en la computadora. Sus tareas también incluyen limpiar el sistema de restos de infecciones anteriores que pertenecen a la misma familia de malware pero de diferentes campañas, así como intentar deshabilitar Windows Defender y limpiar varios canales de registro de eventos de Windows.

El malware también tiene un mecanismo de persistencia y un proceso para descargar sus módulos al sistema infectado. Estos módulos «pueden manipular herramientas de seguridad, crear una puerta trasera y buscar actualizaciones de software», escribieron los investigadores de Elastic.

Lo más interesante es que los módulos incluyen un controlador de agente EDR y un módulo de minero, que principalmente elimina todos los procesos activos del agente EDR antes de descargar e instalar un criptominero. Está escrito en C++ y, según Elastic, tiene redundancia incorporada en sus operaciones. También incluye un script de PowerShell que funciona como una puerta trasera y permite la ejecución remota de comandos en el sistema. Los investigadores de Elastic también extrajeron el archivo de configuración del minero XMRig utilizado en la campaña, «lo cual fue tremendamente valioso ya que nos permitió informar sobre el ID de pago de Monero y las estadísticas de los trabajadores y del grupo, los ID de las transacciones extraídas de criptomonedas y el seguimiento de los retiros», dijeron. escribió.

Detectar motor fantasma

Se sabe que los atacantes llevan a cabo este tipo de ataques. Evite las soluciones EDR Antes de hacerlo, es importante que los defensores descubran cómo identificar estos obstáculos. fueron heridos.

En cuanto al malware GhostEngine, su primer objetivo es deshabilitar las soluciones de seguridad de endpoints y deshabilitar ciertos registros de eventos de Windows, como los registros de seguridad y del sistema que registran la creación de procesos y el registro de servicios.

Por ello, los investigadores recomiendan que las organizaciones prioricen la detección y prevención de estas medidas iniciales para detectar su presencia en una red, incluidas: las sospechosas. Ejecución de PowerShell; Ejecución desde directorios inusuales; Aumentar los privilegios de integridad del sistema; e implementar controladores vulnerables y configurar servicios asociados en modo kernel.

«Una vez que se cargan los controladores vulnerables, las oportunidades de detección se reducen significativamente y las organizaciones deben encontrar puntos finales comprometidos que ya no transmiten registros a su SIEM», escriben los investigadores de Elastic.

Además, el tráfico de red puede surgir y ser identificable cuando las búsquedas de registros DNS apuntan a dominios de grupos de minería conocidos a través de puertos conocidos como HTTP (80) y HTTPS (443), señalaron los investigadores. Mientras tanto, Stratum también es otro protocolo de red popular para los mineros, y utiliza de forma predeterminada el puerto 4444, dijeron.

Las reglas de detección y los eventos de prevención de comportamiento asociados con la campaña incluyen: descargas sospechosas de PowerShell; Control de servicio generado mediante intérprete de script; creación de tareas programadas locales; ejecución del proceso por un director inusual; relación inusual entre padres e hijos; Borrar Registros de Eventos de Windows; y manipulación de Microsoft Windows Defender, entre otras cosas.